CN1858740A

CN1858740A - 应用于数据库安全管理的三权分立安全方法

Info

Publication number: CN1858740A
Application number: CN 200610019230
Authority: CN
Inventors: 刘小平; 韩朱忠; 周淳; 郭焱; 张黎敏; 王海龙; 付铨; 付新; 徐钢; 姜宇祥; 赖铮; 周英飙; 班鹏新; 朱虹; 曹忠升; 袁益汉; 李永波; 胡书能; 章涛; 张勇
Original assignee: HUAGONGDAMENG DATA BANK CO Ltd WUHAN
Current assignee: HUAGONGDAMENG DATA BANK CO Ltd WUHAN
Priority date: 2006-05-31
Filing date: 2006-05-31
Publication date: 2006-11-08

Abstract

本发明涉及一种应用于数据库安全管理的三权分立安全方法，其特点是：把数据库系统管理员分为数据库管理员DBA、数据库审计员AUDITOR和数据库安全员SSO三类，其中数据库管理员DBA完成自主存取控制、系统维护及管理，数据库审计员AUDITOR完成系统的审计，而数据库安全员SSO完成系统的安全(标记)管理。本发明实现了数据库系统权限的三权分立，对应这三个权限的系统管理员之间分工明确，各司其责，既相互制约又相互配合，共同实现数据库的安全管理功能。该体系结构不仅解决了国内外数据库产品中存在的系统权限过于集中的问题，同时也实现了国家标准第3级中所要求的强制访问控制功能，进一步提高了系统的安全性。

Description

应用于数据库安全管理的三权分立安全方法

技术领域

本发明属于计算机中的数据库应用技术领域，特别是一种应用于数据库安全管理的三权分立安全方法。

背景技术

目前在国内数据库市场上占统治地位的数据库产品均为进口的国外数据库产品，譬如Oracle、DB2和SQL Server等。由于国外安全数据库出口政策的限制，出口到中国的数据库产品的安全级别只能达到国际数据库安全标准的C2级。在这些产品中只有数据库管理员，其掌握了数据库管理系统的所有权限，造成权限的过于集中，容易产生安全漏洞。

国内也存在一些安全数据库产品，但主要是参照相关标准实现了自主访问控制和强制访问控制等功能，均未能提供有效机制，从根本上解决系统管理员权限过于集中的问题。

所依据的技术文献和标准：

(1)《计算机信息系统安全保护等级划分准则》，中华人民共和国国家标准GB17859-1999；

(2)《计算机信息系统安全等级保护DBMS技术要求》，中华人民共和国公共安全行业标准GA/T389 2002，中华人民共和国公安部发布，2002.07.18发布，2002.08.18实施；

(3)《计算机信息系统安全等级保护通用技术要求》，中华人民共和国公共安全行业标准GA/T390 2002，中华人民共和国公安部发布，2002.07.18发布，2002.08.18实施。

发明内容

本发明的目的是提供一种实现了数据库系统权限的三权分立，对应这三个权限的系统管理员之间分工明确，各司其责，既相互制约又相互配合，共同实现数据库的安全管理功能的应用于数据库安全管理的三权分立安全方法，以克服上述的不足。

为了实现上述目的，本发明所采用的技术方案是：把数据库系统管理员分为数据库管理员DBA、数据库审计员AUDITOR和数据库安全员SSO三类，其中数据库管理员DBA完成自主存取控制、系统维护及管理，数据库审计员AUDITOR完成系统的审计，而数据库安全员SSO完成系统的安全(标记)管理。

上述数据库管理员DBA同一般商用数据库中的数据库管理DBA施行的权限一样，负责自主存取控制及数据库系统的日常维护和管理，譬如创建数据库、创建表、视图、角色等操作，但其已经被剥夺了系统审计权限，且不能进行强制访问控制方面的操作。

上述数据库审计员AUDITOR负责数据库系统的审计功能。可以对系统事件(譬如启动、关闭服务器等)、用户或单独的数据库对象(表、视图、存储过程等)进行审计操作，可以查看详细的审计信息(譬如操作的时间、SQL语句、客户所来自的IP等)，并可以对这些审计系统进行分析。通过审计行为可以了解数据库系统的当前运行情况，对一些异常情况进行调整、处理。数据库审计员只能进行审计操作，其不能进行普通的数据库日常管理操作，也不能进行系统的标记管理。

上述数据库安全员SSO对数据库系统施行强制访问控制。在实现时采用并改进了著名的BLP模型，该模型保证了信息只能从低安全级流向高安全级，保证主体对客体的操作满足简单安全条件和受限制的特性原则。

本发明实现了数据库系统权限的三权分立，对应这三个权限的系统管理员之间分工明确，各司其责，既相互制约又相互配合，共同实现数据库的安全管理功能。该体系结构不仅解决了国外数据库产品中存在的系统权限过于集中的问题，同时也实现了国家标准中所要求的强制访问控制功能，进一步提高了系统的安全性。

附图说明

图1为本发明的系统框图。

图2为本发明实施例系统框图。

具体实施方式

下面结合附图和实施例对本发明作进一步的描述，但该实施例不应理解为对本发明的限制。

本发明数据库管理员DBA根据用户的权限执行自主访问控制。用户权限是指用户在数据对象上被允许执行的操作。规定用户权限要考虑三个因素：用户、数据对象和操作，即什么用户在哪些数据对象上可执行什么操作。所有的用户权限都要记录在系统表(数据字典)中，对用户存取权限的定义称为授权，当用户提出操作请求时，数据库根据授权情况进行检查，以决定是执行操作还是拒绝执行，从而保证用户能够存取他有权存取的数据，不能存取他无权存取的数据。

数据库安全员SSO利用策略和标记来实现数据库的强制访问机制。强制访问控制主要是针对用户和元组，用户操作元组时，不仅要满足自主访问控制的权限要求，还要满足用户和元组之间标记的相容性。这样，就避免了所有的管理权限全部由数据库管理员一人负责的局面。

在系统中设立SSO角色，只有具有SSO角色权限的用户才能进行标记操作，可以通过对用户授予SSO角色来给予某个用户标记操作的权限。当把策略应用于用户(主体)或表(客体)时，主体或客体就会获得一个标记，用来标示其在该策略中的位置。当在一个表上应用了基于标记的一个安全策略时，每条元组均具备了与该策略相关的一个标记，此标记反应了该元组的敏感度，由此，在该策略上，通过比较用户的标记与元组的标记可决定对该元组的访问级别。当主体访问客体时，通过比较主体与客体的标记来决定该客体是否能被该主体访问，这就是强制访问控制机制的主要作用。

比较主体与客体的标记的方式为：设存在两个非空标记L1和L2，若L1的等级与L2的等级相等，且L1的范围与L2的范围全部相同，则表示L1等于L2；若L1的等级大于或等于L2的等级，且L1的范围包含L2的范围，则表示L1可支配L2。

在系统中，自主访问控制(DAC)优于强制访问控制(MAC)。为了能访问一个数据对象，用户不仅首先要满足DAC条件，还必须满足MAC的条件。

当用户访问表时，必须保证应用于表上的所有策略均适用于该用户，否则访问被拒绝。若表上未应用任何策略，则用户只需满足DAC条件即可。在访问元组时，采用“同级写、向下读”原则。

在应用于表的所有策略上，用户插入一条元组时，该元组的标记即为用户的标记；用户更新和删除一条元组时，必须保证用户的标记与元组的标记相等或元组的标记为NULL，否则操作失败；用户查询一条元组时，必须保证用户的标记能够支配元组的标记或元组的标记为NULL。

对于视图及存储过程，当前用户在调用它们访问数据时，其策略标记与视图及存储过程访问的任何基表上元组的策略标记的比较都必须符合上述规则。

系统的策略及标记的设置均由安全管理员来完成。安全管理员可以设置多个策略，并可将这些策略应用到主体(仅指用户)和客体(仅指表)。需要注意的是，当一个新的策略被应用于表上时，安全员所给的初始标记用于初始化表中已有的数据关于该策略的标记。当某个策略已被应用到表或用户时，则其已有的等级和范围均不能被删除，除非从所有的用户和表上取消对该策略的应用。

数据库在实现过程中采用了一个灵活的审计子系统，可以通过它来记录系统级事件、个别用户的行为以及对数据库对象的访问。访问信息以审计记录的形式保存下来，审计记录的内容主要包括以下几点：

导致记录产生的登录及用户

记录类型

记录产生的日期和时间

记录操作的成功或失败

发出请求的起点(计算机IP)

访问的对象名(当前数据库名、模式名、对象名)

SQL语句的文本(密码由****替换)

通过查看审计信息，数据库审计员AUDITOR可以知道用户访问的形式以及试图对该系统进行的操作。一旦出现问题，数据库审计员可以通过分析审计信息，跟踪审计事件。

本发明系统管理员的具体权限如下：

数据库管理员：

登录数据库；

初始化数据库；

在数据库中建立登录、用户和角色；

在数据库中建立表、视图等；

授予登录和用户自主访问控制权限；

注销；

数据库审计员：

登录数据库；

根据系统已有的登录、用户和角色，设置审计选项；

注销。

数据库标记员：

登录数据库；

根据系统已有的登录、创建策略及标记；

授予登录和用户强制访问控制级别；

注销。

数据库操作员：

登录数据库；

IF(登录属性(包括口令、期限、登录IP和登录时间)不符合要求)

{拒绝登录；如设置审计，则进行审计记录}

ELSE

{登录成功；如设置审计，则进行审计记录}

提出数据访问请求；

进行自主访问控制权限检查；

IF(权限符合要求)

{如设置审计，则进行审计记录；

进行强制访问控制权限检查；

IF(权限符合要求)

{返回对应数据；}

ELSE

{不返回对应数据；如设置审计，则进行审计记录；}}

ELSE

{拒绝访问；如设置审计，则进行审计记录；}

注销。

实施例：见图2

其中：

①用户1创建了成绩表；

②数据库管理员DBA授予用户2和用户3对成绩表的所有数据库操作权限，此时用户2和用户3都可以对成绩表进行操作，这属于自主访问控制的范围。数据库管理员DBA完全拥有这个范围权限的支配权；

③系统安全员SSO设立了三个安全等级，并将用户1、用户2、用户3以及成绩表分别设置成不同的安全级别；

④用户1输入到成绩表中数据自动拥有用户1的安全级；根据“同级写、向下读”的原则，数据只能从低安全级向高安全级流动，而且只有和客体处于同一安全级的主体才能修改客体。由于用户2的安全级别比成绩表中的数据的安全级别低，那么其就不能操作成绩表中的数据，尽管数据库管理员DBA赋予其所有的数据库操作权限。而用户3的安全级别比成绩表中的数据的安全级别高，那么他也只能读取成绩表中的数据，而不能进行更改；

⑤数据库审计员AUDITOR可以对用户1和成绩表进行审计。

本说明书中未作详细描述的内容属于本领域专业技术人员公知的现有技术。

Claims

1、一种应用于数据库安全管理的三权分立安全方法，其特征在于：把数据库系统管理员分为数据库管理员、数据库审计员和数据库安全员三类，其中数据库管理员完成自主存取控制、系统维护及管理，数据库审计员完成系统的审计，而数据库安全员完成系统的安全管理。

2、如权利要求1所述的应用于数据库安全管理的三权分立安全方法，其特征在于：数据库管理员负责自主存取控制及数据库系统的日常维护和管理，譬如创建数据库、创建表、视图、角色等操作，但其已经被剥夺了系统审计权限，且不能进行强制访问控制方面的操作。

3、如权利要求1所述的应用于数据库安全管理的三权分立安全方法，其特征在于：数据库审计员负责数据库系统的审计功能，对系统事件、用户或单独的数据库对象进行审计操作，查看详细的审计信息，并对这些审计系统进行分析，数据库审计员只能进行审计操作，其不能进行普通的数据库日常管理操作，也不能进行系统的标记管理。

4、如权利要求1所述的应用于数据库安全管理的三权分立安全方法，其特征在于：数据库安全员对数据库系统施行强制访问控制，在实现时采用BLP模型。

5、如权利要求1所述的应用于数据库安全管理的三权分立安全方法，其特征在于：数据库管理员具体权限为：

登录数据库；

初始化数据库；

在数据库中建立登录、用户和角色；

在数据库中建立表、视图等；

授予登录和用户自主访问控制权限；

注销。

6、如权利要求1所述的应用于数据库安全管理的三权分立安全方法，其特征在于：数据库审计员具体权限为：

登录数据库；

根据系统已有的登录、用户和角色，设置审计选项；

注销。

数据库标记员：

登录数据库；

根据系统已有的登录、创建策略及标记；

授予登录和用户强制访问控制级别；

注销。

7、如权利要求1所述的应用于数据库安全管理的三权分立安全方法，其特征在于：数据库操作员具体权限为：

登录数据库；

{拒绝登录；

如设置审计，则进行审计记录}

ELSE

登录成功；

如设置审计，则进行审计记录}

提出数据访问请求；

进行自主访问控制权限检查；

IF(权限符合要求)

{如设置审计，则进行审计记录；

进行强制访问控制权限检查；

IF(权限符合要求)

{返回对应数据；}

ELSE

{不返回对应数据；

如设置审计，则进行审计记录；}}

ELSE

{拒绝访问；

如设置审计，则进行审计记录；}

注销。